CVE-2026-126358

اسم البرنامج المصاب والإصدارات المتأثرة Hono الإصدارات من 4.1.4 إلى 4.13.15

Description يفشل RegExpRouter، الذي يختاره SmartRouter الافتراضي لمعظم التطبيقات، في تطبيق برمجيات الوسيط (middleware) ذات الرموز العامة (wildcard) في ثلاث حالات محددة. أولاً، برمجيات الوسيط التي تستخدم نمط معلمة افتراضي صريح، مثل /api/:tenant{[^/]+}/admin/* لا يتم تطبيقها على المسارات المكتوبة كـ /api/:tenant/admin/:id. ثانياً، برمجيات الوسيط في /admin/* لا يتم تطبيقها على المسارات المسجلة كـ /admin* للمسارات الموجودة تحت /admin/. ثالثاً، يمكن لمسارات الطلبات التي تحتوي على محددات سطر مشفرة (مثل %0A أو %0D أو %E2%80%A8 أو %E2%80%A9) تجاوز برمجيات الوسيط ذات الرموز العامة والوصول إلى معالج "غير موجود" (not-found handler). يحدث هذا لأن حساب التغطية في وقت التسجيل في الموجه يعامل أنماط مطابقة معينة بشكل خاطئ على أنها مختلفة، كما أن الرمز العام المجمع لا يطابق محددات السطر. نتيجة لذلك، يمكن لعميل غير مصرح له الوصول إلى معالج المسار أو معالج "غير موجود" دون برمجيات الوسيط الخاصة بالمصادقة أو التفويض المطلوبة.

Recommendations تحديث Hono إلى الإصدار 4.13.16. كحل مؤقت، استخدم new Hono({ router: new TrieRouter() }) لتجنب الموجه المتأثر.